Российские организации атакует троян-стилер NOVA

Российские организации атакует троян-стилер NOVA

Российские организации атакует троян-стилер NOVA

Действующие в России злоумышленники активно осваивают коммерческий инструмент кражи данных, появившийся на черном рынке в прошлом году. Троян NOVA на поверку оказался модом популярного в криминальных кругах инфостилера SnakeLogger.

Новобранец, по словам BI.ZONE, предлагается к продаже в Telegram с августа 2024 года. Для защиты зловреда от обнаружения тот же автор создал криптор, который предоставляется в пользование за отдельную плату.

В этом месяце эксперты зафиксировали множество атак NOVA на российский госсектор и бизнес. Похищенные вредоносом данные в основном предназначены для продажи в даркнете.

Новый Winsows-стилер рассылается в письмах с вредоносным вложением. Примечательно, что злоумышленники даже не пытаются замаскировать его под легитимный документ — просто присваивают архивному файлу имя, соответствующее теме письма, к примеру, «Договор.exe».

После запуска экзешник извлекает из ресурсов (zabawa2) данные, скрытые по методу стеганографии, выполняет декодирование, копирует себя под другим именем в AppData\Roaming и запускает PowerShell, чтобы добавить свой файл в исключения Microsoft Defender.

Для обеспечения постоянного присутствия в системе создается запланированное задание. После этого вредонос запускает себя в режиме ожидания и внедряет в дочерний процесс полезную нагрузку — стилер NOVA (на VirusTotal детектится с результатом 48/68 на 29 января).

Для получения IP-адреса жертвы троян обращается к сервисам checkip[.]dyndns[.]org и reallyfreegeoip[.]org. Он умеет собирать сохраненные учетки, регистрировать клавиатурный ввод, делать скриншоты, извлекать данные из буфера обмена.

Для эксфильтрации краденого может использоваться SMTP. В подвергнутом анализу образце были также предусмотрены функции отключения Microsoft Defender, диспетчера задач, редактора реестра; командной строки, однако кода для их выполнения аналитики не обнаружили.

По данным BI.ZONE, на долю SnakeLogger в настоящее время приходится 23% атак с использованием стилеров. Догонит ли его NOVA по популярности, покажет время.

«Новый инструмент несколько отличается от предшественника: за счет оптимизации кода и обновления архитектуры NOVA сложнее распознать привычными средствами обнаружения», — подытожил результаты анализа Олег Скулкин, руководитель BI.ZONE Threat Intelligence.

Kaspersky ASAP стала гибче: компании смогут загружать свои курсы по ИБ

Платформа Kaspersky Automated Security Awareness Platform (ASAP) получила обновление, которое делает корпоративное обучение по кибербезопасности более гибким. Теперь компании могут загружать на платформу собственные учебные материалы — как в формате PDF, так и в виде SCORM-курсов, которые давно стали стандартом в электронном обучении.

Это позволяет проводить на Kaspersky ASAP не только готовые курсы от вендора, но и внутренние программы, адаптированные под конкретную инфраструктуру, профиль рисков сотрудников и корпоративные политики.

Платформа поддерживает SCORM 1.2 и SCORM 2004, а также PDF-файлы — например, методические материалы или внутренние инструкции.

Все управление обучением остаётся внутри платформы: администраторы могут настраивать количество уроков, сроки прохождения, отслеживать прогресс и обновлять контент.

В сочетании с обучающими курсами по кибербезопасности и тренировочными фишинговыми рассылками это помогает выстроить более целостный подход к работе с человеческим фактором.

Как отмечает эксперт направления Kaspersky Security Awareness Светлана Калашникова, злоумышленники по-прежнему часто используют ошибки сотрудников для атак на бизнес.

Возможность загружать собственные курсы позволяет компаниям точнее подстраивать обучение под свой технологический стек и актуальные для отрасли угрозы, а заодно снижать риск инцидентов, упрощать управление программами обучения и избегать комплаенс-проблем.

RSS: Новости на портале Anti-Malware.ru